WSUS startet nicht – Fehler bei der Anmeldung für den Benutzer ‚NT-AUTORITÄT\Netzwerkdienst‘

Nach Installation des Updates KB3148812/KB3159706 und Neustart des Servers erhält man beim Öffnen der Verwaltungskonsole des Windows Server Update Services (WSUS) nur noch einen Verbindungsfehler; außerdem schlägt auch die Suche nach Updates auf den Clients fehl. Ursache ist ein Fehler beim Start des WSUS-Dienstes aufgrund einer unvollständigen Installation des Patches. Um diese abzuschließen und das Problem zu beheben, sind weitere manuelle Schritte erforderlich.

Beim Versuch den WSUS-Dienst erneut zu starten, findet sich im Eventlog folgende Meldung:

Protokollname: Application
Quelle:        Windows Server Update Services
Ereignis-ID:   507
Aufgabenkategorie:1
Ebene:         Fehler
Beschreibung:
Update Services konnte nicht initialisiert werden und wurde angehalten.

(„Update Services failed its initialization and stopped.„)

Außerdem tauchen sehr viele Informationsmeldungen (Event Id 18456), zu fehlerhaften Anmeldungen an der internen Windows-Datenbank (WID), auf:

Protokollname: Application
Quelle:        MSSQL$MICROSOFT##WID
Ereignis-ID:   18456
Aufgabenkategorie:Anmeldung
Ebene:         Informationen
Benutzer:      Netzwerkdienst
Beschreibung:
Fehler bei der Anmeldung für den Benutzer 'NT-AUTORITÄT\Netzwerkdienst'.Ursache: Fehler beim Öffnen der explizit angegebenen Datenbank 'SUSDB'. [CLIENT: <named pipe>]

(„Login failed for user ‘NT AUTHORITYNETWORK SERVICE’. Reason: Failed to open the explicitly specified database ‘SUSDB’. [CLIENT: <named pipe>]„)

Um das Problem schnell zu beheben, kann das Update KB3148812 bzw. KB3159706 einfach deinstalliert werden. Doch ist diese Vorgehensweise auf Dauer nicht empfehlenswert, da der Patch den WSUS auf die Synchronisation und Bereitstellung der standardmäßig verschlüsselten Windows 10 Upgrades und Feature Packs vorbereitet; nach Installation kann er die ESD-Pakete entschlüsseln, die bisher für den WSUS extra nochmals in unverschlüsselter Form bereitgestellt wurden.

Ab 1. Mai 2016 ist das Update Voraussetzung für die weitere Verteilung von Updates an Windows 10-Clients.

Nach der Installation eines Language Packs, muss das Updates erneut installiert werden.

Der sicherlich bessere Weg ist, die in KB3159706 genannten, manuellen Schritte zum Abschluss der Updateinstallation durchzuführen:

1. Als Administrator, folgenden Befehl in der Eingabeaufforderung des WSUS-Servers ausführen:

"%programfiles%\Update Services\Tools\wsusutil.exe" postinstall /servicing

2. Das Windows-Feature .NET Framework 4.5-Funktionen -> WCF-Dienste -> HTTP-Aktivierung über den Server-Manager oder Powershell nachinstallieren

3. Den WSUS-Dienst neustarten…

Falls SSL für den WSUS-Server aktiviert ist, müssen auch noch die folgenden Schritte ausgeführt werden:

1. Den Besitz an der Datei C:\Program Files\Update Services\WebServices\ClientWebService\Web.Config an die Administratoren-Gruppe übertragen:

   takeown /f web.config /a


   icacls "C:\Program Files\Update Services\WebServices\ClientWebService\Web.config" /grant administrators:f

2. In der Datei, sollte der Abschnitt <Services> für die Nutzung von HTTP und HTTPS, wie folgt aussehen:

   [...]
   <services>
    <service name="Microsoft.UpdateServices.Internal.Client" behaviorConfiguration="ClientWebServiceBehaviour">
    <endpoint address="" binding="basicHttpBinding" bindingConfiguration="SSL" contract="Microsoft.UpdateServices.Internal.IClientWebService" />
    <endpoint address="secured" binding="basicHttpBinding" bindingConfiguration="SSL" contract="Microsoft.UpdateServices.Internal.IClientWebService" />
    <endpoint address="" binding="basicHttpBinding" bindingConfiguration="ClientWebServiceBinding" contract="Microsoft.UpdateServices.Internal.IClientWebService" />
    <endpoint address="secured" binding="basicHttpBinding" bindingConfiguration="ClientWebServiceBinding" contract="Microsoft.UpdateServices.Internal.IClientWebService" />
    </service>
   </services>
   [...]

   Außerdem, muss am Ende der Datei das Attribut multipleSiteBindingsEnabled="true" hinzugefügt werden:

   [...]
    </bindings>
    <serviceHostingEnvironment aspNetCompatibilityEnabled="true" multipleSiteBindingsEnabled="true" />
    </system.serviceModel>
   </configuration>

Der Dienst sollte nun fehlerfrei starten und der Zugriff der Clients, sowie über die MMC wieder funktionieren.

Schlägt auf den Computern die Suche nach Updates mit 0x80244022 fehl, sollte noch ein Neustart des WSUS-Servers helfen.

Links

• WSUS Product Team Blog: Known Issues with KB3148812
• WSUS Product Team Blog: What you need to know about KB3148812, Part Two
• WSUS Product Team Blog: The long-term fix for KB3148812 issues
• Microsoft KB3159706: Update enables ESD decryption provision in WSUS in Windows Server 2012 and Windows Server 2012 R2